Alt alan adı sertifikalarını imzalamak için kullanmak için bir ara sertifika almak mümkün mü? Tarayıcı tarafından tanınmalı ve joker sertifika kullanamıyorum.
Arama şu ana kadar hiç bir şey ifade etmedi. Bu sertifikaları veren var mı?
Alt alan adı sertifikalarını imzalamak için kullanmak için bir ara sertifika almak mümkün mü? Tarayıcı tarafından tanınmalı ve joker sertifika kullanamıyorum.
Arama şu ana kadar hiç bir şey ifade etmedi. Bu sertifikaları veren var mı?
Sorun şu ki, şu an kullanılan altyapı ve uygulama sadece bazı (alt) alanlarla sınırlı olan ara sertifikaları desteklememektedir. Bu, aslında, istediğiniz sertifikayı imzalamak için herhangi bir ara sertifikayı kullanabileceğiniz ve sahip olmadığınız etki alanlarının sertifikaları olsa bile tarayıcıların güvenebileceği anlamına gelir.
Böylelikle, bu tür ara sertifikalar, gerçekten güvenilir kurumlara verilmiş olup, bunun anlamı ne olursa olsun (ama çok fazla parayla ilgili olabilir).
Hayır, çünkü orijinal sertifikanın ihlali olur - tarayıcılar sertifikalarınıza güvenirdi ve google.com vb. İçin bir şeyler yayınlamaya başlayabilirsiniz - ve bu kadar akıllısanız, elde etmek kolay olmaz.
Orta Sertifika Yetkilileri çok fazla güce sahiptir. Bir ara CA bir sertifika imzalama otoritesidir - kök sertifika aracılığıyla güvenilen - ve belirtimdeki hiçbir şey alt CA'yu sınırlandırmaya izin vermez.
Bu nedenle, saygın bir sertifika kuruluşu size bir tane vermeyecektir.
GeoTrust'tan geçerli bir CA satın almak mümkün oldu.
Ürünü İngilizce sayfalarda bulamadım ancak burada arşivlenmiş bir sürüm var:
GeoRoot'u satın almak için aşağıdaki minimum gereksinimleri karşılamanız gerekir:
- Net değeri 5 milyon dolar veya üstü
- Hata ve ihmal sigortasında en az 5 milyon dolar
- Şirket Esas Sözleşmesi (ya da benzeri) ve bir görev belgesi
- Yazılı ve bakımı yapılmış bir Sertifika Uygulaması Beyanı (CPS)
- Kök sertifika anahtarlarınızı oluşturmak ve saklamak için FIPS 140-2 Düzey 2 uyumlu bir cihaz (GeoTrust SafeNet, Inc. ile ortaklık kurmuştur)
- Baltimore / Betrusted, Entrust, Microsoft, Netscape veya RSA'dan onaylı bir CA ürünü
Ürün hala Alman sayfasında mevcuttur:
(Bu eski bir soruya verilen yeni bir cevaptır çünkü bu, sertifikaların ve CA'nın arkasında "sihir" olmadığını anladığına inanıyorum)
@Steffen Ullrich tarafından verilen onaylanmış cevabın bir uzantısı olarak
Web siteleri şey belirlemek için tüm sertifika sadece büyük bir para iştir. X509 sertifikaları (diğerleri arasında) tarafından tanımlanmıştır RFC5280 ve herkes bir kök CA veya bir ara CA olabilir, tüm bu varlıkla ilgili sahip olduğunuz güvene bağlıdır.
Örneğin: Bir Active Directory etki alanındaysanız, birincil etki alanı denetleyiciniz varsayılan olarak güvenilir bir kök sertifika yetkilisidir. Bu arada, kesinlikle başka üçüncü taraflar da yoktur.
Geniş internette, konu “kim güvenebileceğinize” karar vermek, çünkü tek bir şirketten çok daha büyük. Bu nedenle, tarayıcı satıcıları sizin rızanızı istemeden güvenebileceği özel bir kök CA listesi sunar.
Mozilla vakıf ile çok iyi bir ilişki varsa yani .:, sonra kendi keyfi kendinden imzalı kök CA onlar karar diye ... Onların Firefox tarayıcısının bir sonraki sürümü o listeye eklenebilir olabilir!
Ayrıca, tarayıcıların sertifikalarla ilgili nasıl davranması gerektiği ile ilgili kuralları ve kuralları tanımlayan bir RFC yoktur. Bu, sertifikanın "CN" ünkü alan adıyla eşleşmesi ve eşleşmesi gerektiği ima edilen bir uzlaşmadır.
Bu bir noktada yeterli olmadığı için, tarayıcı satıcıları gizli bir şekilde joker karakter formunu onayladılar.
*.domain.com herhangi bir alt alanla eşleşir. Ama sadece bir seviye ile uyuşuyor: hayır
sub.sub.domain.com Neden ? Çünkü sadece karar verdiler.
Şimdi asıl sorunuzla ilgili olarak, birincil alan sertifikanızın kendi alt alanlarınız için alt sertifikalar oluşturmasına izin verilmesini engelleyin; bu, tarayıcının kontrol etmesi için kolay bir işlemdir. Sertifika zincirini almanız yeterlidir.
Cevap: hiçbir şey
(teknik olarak bunu yapmak için kendi alan adı sertifikanızda "bayrak" olmalıdır)
Broşür satıcıları, eğer yeterince uygun bulurlarsa, bunu desteklemeye karar verebilirler.
Ancak, ilk ifademe dönersek, bu büyük para işidir. Bu yüzden, tarayıcı satıcılarıyla anlaşma yapan bu birkaç kök CA, o listede görünecek büyük miktarda para harcıyor. Ve bugün, bu parayı geri alıyorlar çünkü her bir subdomain sertifikasını ödemek zorundasınız ya da çok daha pahalı olan bir joker olsun. Kendi subdomain sertifikalarınızı oluşturmanıza izin verdiyse, bu büyük ölçüde kârlarını azaltacaktır. Bu yüzden bugün itibariyle, bunu yapamazsınız.
Eh, hala yapabilirsiniz, çünkü kesinlikle geçerli bir x509 sertifikası olacaktır, ancak herhangi bir tarayıcı onu tanıyamaz.